Apache Struts2 漏洞解析 （CVE-2023-50164）（S2-066）

研究人員發現Apache struts 2存在任意檔案上傳 (Arbitrary File Upload)漏洞 (CVE-2024-53677)，允許未經身分鑑別之遠端攻擊者上傳網頁後門程式並於伺服器端執行，請儘速確認並進行修補。

本次流量分析重点聚焦于 Apache Struts2 框架中存在的 OGNL 表达式注入漏洞。 通过对不同请求类型（包括普通 POST 请求、GET 请求、带有 debug 参数的探测请求以及 multipart/form-data 上传请求）的抓包和解码，深入揭示了攻击者如何利用精心构造的 OGNL 表达式 ...

研究人員發現Apache struts 2存在任意檔案上傳 (Arbitrary File Upload)漏洞 (CVE-2024-53677)，允許未經身分鑑別之遠端攻擊者上傳網頁後門程式並於伺服器端執行，請儘速確認並進行修補。 (此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。

研究人員發現Apache struts 2存在任意檔案上傳 (Arbitrary File Upload)漏洞 (CVE-2024-53677)，允許未經身分鑑別之遠端攻擊者上傳網頁後門程式並於伺服器端執行，請儘速確認並進行修補。

Apache官方公告 又更新了一个Struts2的漏洞，考虑到很久没有发无密码的博客了，再加上漏洞的影响并不严重，因此公开分享利用的思路。

通过控制上传参数导致目录穿越，若在具体代码环境中允许上传危险后缀文件（例如 jsp文件），则攻击者可能结合该目录穿越漏洞上传webshell 至可解析目录，执行任意代码。

研究人員發現Apache struts 2存在任意檔案上傳 (Arbitrary File Upload)漏洞 (CVE-2024-53677)，允許未經身分鑑別之遠端攻擊者上傳網頁後門程式並於伺服器端執行，請儘速確認並進行修補。